Cryptolocker raar gedrag ( meer als normaal )

[Dromer]

Mensen,
Mischien kan 1 van jullie wat ligt schijnen in de duisternis.
Laat ik beginnen met het feit dat alle restores e.d. gelukt zijn, dus dit is niet zo een vraag

Vandaag kreeg ik een klant aan de lijn die in elke map een help_decrypt.htm ed had staan.
Na een eerste vlugge blik waren en geen bestanden hernoemd.
Toch gaf hij aan bepaalde bestanden niet meer te kunnen openen, en na controleren klopte dit.
Geen probleem, daar hebben we backups en shadow copies voor ( shadow copy is geen backup)
Alle computers uitgeschakeld, gewoon voor de zekerheid, had inmiddels al wel de besmette computer gevonden.
Ik heb ingelogd op de server, previous versions erbij gehaald en gaan restoren.
Tijdens het restoren kreeg ik ineens de melding dat hij de shadow copies niet meer kon vinden, en tot mijn grote verbazing waren alle versies tot die van vanochtend 7 uur gewist, toen was de besmetting al een feit.
Ik heb dit nog niet eerder meegemaakt, server is geheel schoon, geen virussen oid op gevonden.
Gelukkig hebben we ook nog een echte backup, en deze restored nu alleen ik schrok erg van het feit dat de server ineens alle shadow copies kwijt was.
Normaliter worden ze op de client verwijderd maar nooit eerder gezien op de server.
Tevens werden bij deze versies de bestanden niet hernoemd oid maar blijven de extensies in tact.
Ik heb op de server geen van de bestanden geopend.
Logfiles geven ook eigenlijk geen enkele duidelijkheid.

iemand een idee?

[DJMaze]

Is er een purge uitgevoerd op de shadow copy?

[garriej]

Dat de shadowcopy niet werkt heb ik zelf nog niet gezien. Maar het feit dat bestanden "encrypt" zijn terwijl de extensies niet veranderd zijn heb ik al wel een aantal keer gezien de afgelopen twee maanden.

Wat mij opgevallen is is dat er vaak in de profile van de users een .exe staat met een naam die bestaat uit nummer (42881.exe) bijvoorbeeld, de datum van dit bestand en de aanmaak datum van de eerste help_decrypt files komen vaak overeen. De virusscanner(s) herkennen deze vaak niet als virus, al ben ik er van overtuigd dat deze .exe toch echt de boosdoener is.

Twee maanden geleden nog een halve fileserver terug moeten zetten cryptolockers zijn op dit moment erg hip en sluipen veelte makkelijk er doorheen.

De essentie van een goede back-up word maar weer benadrukt in deze tijden. En het bewijst maar weer is dat shadowcopy geen back-up is maar een handige tool voor admins

[Dromer]

Shadow copy is ook handig, maar gelukkig hebben we ook nog een andere backup
Ik schrok ook vooral van het feit dat mijn shadow copies ineens weg waren op de server, normaliter kan de gebruiker daar ook niet bij.

[sh4d0wman]

Weet je zeker dat er geen locker op de server zelf draaide?

Een korte google search toont aan dat shadow copies ook op afstand verwijderd kunnen worden (PSExec / WMI). Als dat het geval is zou ik eens uitzoeken of er naast de locker wellicht een trojan/bot in het netwerk zit waarmee men handmatig zaken op het netwerk uit kan voeren.

[Dromer]

Op de server zelf draaide niks, geen bots, is ook voor de zekerheid is de server ook volloedig gescand.
Kan je iets doen om te voorkomen dat ze bij de shadow copies kunnen dan, want dat is op zich onwenselijk gedrag natuurlijk.

[sh4d0wman]

Voor remote toegang is het admin wachtwoord noodzakelijk. Zit er echter een bot in je netwerk dan kan men bijvoorbeeld proberen om het administrator wachtwoord te onderscheppen (als je bijvoorbeeld een keer op een client aanmeld) of men kan de hash hergebruiken via een pass-the-hash aanval indien je een keer als administrator hebt ingelogd op een workstation of er een service draait met deze credentials.

Op zoek gaan naar een bot met de bekende anti-virus en anti-malware tools zal niet altijd succesvol zijn. Het is niet heel moeilijk om een exe van detectie te ontdoen. Heb je al eens naar netwerkverkeer gekeken?

- "Known bad" IP communicatie? Er zijn diverse partijen welke C&C verkeer in kaart brengen. Je kunt kijken of clients met deze verdachte IP addressen communiceren. Verkeer kan versleuteld zijn dus inhoud is niet altijd te zien.

- Netwerkverkeer wat afwijkt van je netwerk policy? b.v. je halve LAN stuurt traffic naar serverX, serverX staat al dagen te uploaden naar internet.

- HTTP traffic waarin je "gate.php" tegen komt :-) (Zeus en aanverwanten)

- TOR / I2P en aanverwant verkeer wordt soms door ransomware misbruikt